要点
影響を受けるもの
- WordPress本体（コア）の 4.7〜7.1.3。修正は 7.1.4 と、4.7系までの各系列へのバックポート（WordPress、Wordfence）。
今すぐやること
- サイトが 7.1.4（または使っている系列の最新のセキュリティリリース）になっているか確認する。自動更新が止まっているサイトは手動で更新する。
- 更新作業そのものが攻撃の窓になる欠陥なので、
wp-content/upgrade配下へのWebからのアクセスを遮断しておく。
何が起きているか
事実（WordPress、Wordfence、報道）
- WordPressは2026年10月28日、セキュリティリリース WordPress 7.1.4 を公開し、すぐに更新するよう呼びかけた。
- 最も重いのは「更新の作業中にリモートでコードを実行されうる、更新処理の弱点」（Umut Bayram氏が報告）。このほか、ブロックのマークアップ、個人データ削除要求、Interactivity API、カスタマイザー、カテゴリーブロック、ユーザー名などを使う複数の蓄積型XSS、未公開のカスタマイザー変更が認証なしで見つけられる問題、ノート機能の権限不備、Interactivity APIの蓄積型DoSなどを直した。eMudhraの失効に伴う同梱ルート証明書の更新も含む（WordPress）。
- Wordfence（Defiant社）の解説によると、RCEの仕組みは次のとおり（SecurityWeekの引用による）。
- 4.7〜7.1.3は、完全パッケージでのコア更新時に、新しいファイルを
wp-content/upgrade配下の予測できる名前のディレクトリに展開する。多くのサーバーでこの場所はWebから開ける。 - 展開されたコピーにはインストーラー（
setup-config.php）が含まれ、認証なしの攻撃者がちょうどそのタイミングで開くとPHPのコード実行に進める。 - 攻撃が成り立つのは、ディレクトリが残っている数秒程度の間だけで、攻撃の難しさは高い。Wordfenceの評価はCVSS 8.1。
- 4.7〜7.1.3は、完全パッケージでのコア更新時に、新しいファイルを
- 7.1.4では、展開先ディレクトリ名のランダム化、インデックスの保護、展開された設定データを本番に移す処理の制限で対策した（Wordfence、SecurityWeek）。
- Wordfenceは10月28日 20:30（UTC、日本時間29日 5:30）にファイアウォールのルールを配信し、9分後に最初の検知があった。最初の21時間で、展開先の
setup-config.phpを狙う1万8,500件超の要求を記録した。一部の送信元は少数のサイトを約14.5時間にわたって繰り返し調べており、更新のタイミングを待ち構える動きと見ている。侵害に成功した例は報告していない（Wordfence、SecurityWeek）。 - 2026年11月1日時点で、このRCEにCVE番号は付いておらず、CISAのKEVにも登録されていない。
影響を受ける製品・バージョン
- WordPress 4.7〜7.1.3（RCE）。XSSなど他の修正の影響範囲は項目ごとに異なる。
- WordPressは、修正を4.7系までのセキュリティ修正対象の全系列にバックポートし、準備ができたものから順に出すとしている。正式にサポートされるのは最新版だけ（WordPress）。
- 開発版の 7.2 Beta 3 にも同じ修正が入っている。
修正版・回避策
- 修正：7.1.4、または使っている系列の最新のセキュリティリリース。
- 公式の回避策は示されていない。Wordfenceは、自社ルールを使う場合でも、WordPressを読み込まずに展開先のPHPファイルを直接開く攻撃なので、ファイアウォールを「Extended Protection」に最適化しておく必要があり、ルールは更新の代わりにならないとしている（Wordfence、報道の引用による）。
今すぐやること
- 管理画面の「更新」またはWP-CLI（
wp core version）で版を確認し、7.1.4（または系列の最新）に更新する。 - Webサーバーで
wp-content/upgrade/配下へのアクセスを拒否する（Apacheの.htaccess、nginxのlocation設定など）。今後の更新時の窓もふさげる。 - アクセスログで
wp-content/upgrade/配下やsetup-config.phpへの要求を検索する。ちょうど更新した時間帯にこうした要求が成功（200応答）していれば、wp-config.phpや管理者アカウント、不審なPHPファイルの有無を確認する。
考察
- 「更新すること」自体が攻撃の窓になる珍しい欠陥: 古い版を放置したサイトより、7.1.4への更新作業をする瞬間のサイトが狙われる構図になる。いまも未更新のサイトは、次の自動更新のタイミングで攻撃を受ける可能性があるため、アクセス制限を先に入れてから更新するのが確実だと考える。
- 成功率は低いが自動化で補われている: 数秒の窓を外から当てるのは難しいが、Wordfenceの観測では長時間の繰り返しアクセスが続いている。多数のサイトを並行して調べれば、どこかで当たる可能性は残る。
- CVEがない脆弱性は管理から漏れやすい: CVE番号やKEVを基準に対応を決めている組織では、この件が一覧に上がってこない。WordPressのように公式が「すぐ更新」と出したものは、番号の有無に関係なく扱いたい。